Sicherheit

Pocket verwahrt nie deine Bitcoin, aber du vertraust uns deine persönlichen Daten an: deine Ausweisdokumente, Bankangaben und Bitcoin-Adressen. Das nehmen wir ernst, und wir wissen, dass kein System perfekt ist. Wenn du glaubst, eine Sicherheitslücke bei Pocket gefunden zu haben, wollen wir davon hören und sie gemeinsam mit dir beheben.

So meldest du eine Sicherheitslücke#

Schreib eine E-Mail an security@pocketbitcoin.com. Du kannst auf Deutsch oder Englisch schreiben.

Heikle Details kannst du mit unserem PGP-Schlüssel verschlüsseln:

Bitte gib an:

  • das betroffene Produkt oder die URL (Website, Web-Portal, iOS-App, Android-App, API) und, falls relevant, die App-Version
  • eine Beschreibung des Problems und seiner möglichen Auswirkungen
  • klare Schritte zur Reproduktion oder einen Proof of Concept

Bitte melde Sicherheitsprobleme nicht über den Support-Chat, Social Media oder App-Store-Bewertungen. Diese Kanäle sind nicht vertraulich, und deine Meldung erreicht so möglicherweise nicht rechtzeitig die richtigen Personen.

Keine Sicherheitslücke, sondern eine Phishing-Seite, eine gefälschte App oder ein Betrug unter dem Namen Pocket? Bitte melde das ebenfalls an security@pocketbitcoin.com.

Was du von uns erwarten kannst#

  • Wir bestätigen den Eingang deiner Meldung innerhalb von 2 Arbeitstagen.
  • Innerhalb von 5 Arbeitstagen erhältst du eine erste Einschätzung.
  • Bis das Problem gelöst ist, informieren wir dich mindestens alle zwei Wochen über den Stand.
  • Wir sagen dir Bescheid, sobald das Problem behoben ist.
  • Wenn du dich an diese Richtlinie hältst, gehen wir rechtlich nicht gegen dich vor (siehe Safe Harbour).

Geltungsbereich#

Im Geltungsbereich

Nicht im Geltungsbereich

  • Dienste unserer Partner und Anbieter (z. B. Banken, Zahlungsdienste, E-Mail). Bitte melde diese direkt beim jeweiligen Anbieter.
  • Denial-of-Service-Angriffe, Lasttests, Spam
  • Social Engineering, Phishing oder physische Angriffe gegen Mitarbeitende, Büros oder Kundinnen und Kunden von Pocket
  • Meldungen aus automatisierten Scannern oder KI-Tools ohne verifizierten, reproduzierbaren Proof of Concept
  • fehlende Best Practices ohne nachgewiesene Auswirkung, z. B. SPF/DKIM/DMARC-Konfiguration, fehlende Security-Header, Cookie-Flags bei nicht sensiblen Cookies, Offenlegung von Versionen oder Bannern, Clickjacking auf Seiten ohne sensible Aktionen, Self-XSS, CSV-Injection, Rate Limiting bei nicht sensiblen Endpunkten
  • Probleme, die ein gerootetes oder gejailbreaktes Gerät, ein veraltetes Betriebssystem oder einen veralteten Browser oder physischen Zugriff auf ein entsperrtes Gerät voraussetzen
  • Zugangsdaten oder Daten aus Datenlecks Dritter, bei denen du nicht zeigen kannst, dass sie für Pocket gültig sind

Spielregeln#

  • Teste nur mit deinem eigenen Pocket-Konto oder mit Pocket-Konten, für die du eine ausdrückliche Erlaubnis hast. Verwende möglichst kleine Beträge.
  • Greife nicht auf Daten anderer Kundinnen und Kunden zu, und verändere, lade oder speichere sie nicht. Wenn du auf Personendaten stösst, hör sofort auf, melde es uns umgehend und lösche die Daten.
  • Versuche niemals, Gelder von Pocket oder unseren Kundinnen und Kunden zu bewegen, umzuleiten oder zurückzuhalten, und ändere keine Auszahlungsadressen oder Bankangaben, die nicht deine eigenen sind.
  • Beeinträchtige unsere Dienste nicht und störe keine anderen Nutzerinnen und Nutzer.
  • Führe keine automatisierten Scans mit hohem Volumen durch.
  • Gib uns angemessen Zeit, das Problem zu beheben, bevor du etwas veröffentlichst. Wir streben 90 Tage oder weniger an und stimmen den Veröffentlichungstermin mit dir ab.
  • Mach die Weitergabe von Details nicht von einer Zahlung abhängig.

Safe Harbour#

Wenn du dich in gutem Glauben an diese Richtlinie hältst, betrachten wir deine Untersuchung als autorisiert. Wir leiten keine rechtlichen Schritte gegen dich ein und unterstützen solche auch nicht. Falls eine Drittpartei wegen Tätigkeiten, die unter diese Richtlinie fallen, rechtlich gegen dich vorgeht, machen wir deutlich, dass du mit unserer Autorisierung gehandelt hast. Wenn du unsicher bist, ob etwas erlaubt ist, frag uns vorher unter security@pocketbitcoin.com.

Dieser Safe Harbour gilt nur für die Systeme von Pocket. Er erlaubt keine Tests von Diensten Dritter und setzt für dich geltende Gesetze nicht ausser Kraft.

Belohnungen#

Wir sind für jede gültige Meldung dankbar. Derzeit betreiben wir kein formelles, bezahltes Bug-Bounty-Programm. Für gültige, bisher unbekannte Probleme mit echten Sicherheitsauswirkungen können wir nach eigenem Ermessen eine Belohnung in Bitcoin ausrichten. Wir entscheiden darüber abhängig von Schweregrad, Qualität der Meldung und Auswirkung, und der Entscheid ist endgültig. Wir nennen meldende Personen nicht öffentlich.

Sicherheit